Am 20. Januar 2026 veröffentlichte die Everest Ransomware Group einen massiven Datenleck-Anspruch von 861 GB auf ihrem Dark-Web-Portal. Sie behaupten, eine Schatztruhe voller Kunden- und Unternehmensinformationen über McDonald's Indien zu besitzen. Die Gruppe postete auch Beweise für den Einbruch in Form von Screenshots auf:

• Interne Prüfungs- und Compliance-Spuren neben Finanzberichten mit monatlichen Aufschlüsselungen.

• Eine "Kontaktdatenbank" mit personenbezogenen Daten (PII) von angeblichen internationalen Investoren und Partnern.

• Detailgenauigkeit auf Filialebene, einschließlich Kontaktdaten von Managern für Dutzende von indischen Niederlassungen.

Während wir nicht in der Lage sind, die Authentizität der Daten zu überprüfen, ist es aufgrund vorheriger von der Gruppe eingesetzter TTPs (Taktiken, Techniken und Verfahren) möglich, dass einige Daten exfiltriert wurden.

In diesem Beitrag gehen wir tief in den Vorfall und vor allem auf die Bedeutung der TTPs und Motivationen der Everest-Gruppe ein.

Falls Sie unseren vorherigen Blogpost über die kritischen Auswirkungen des EU Cybersecurity Act 2026 für OT-Infrastrukturbetreiber und Unternehmen noch nicht gelesen haben, empfehlen wir Ihnen, ihn zu lesen. Sie können auf diesen ausführlichen Beitrag hier zugreifen.

Die Behauptung: 861 GB gestohlene Informationen

Everest ist ein weiterentwickelter russischer Bedrohungsakteur mit fast einem halben Jahrzehnt Erfahrung in der Exfiltrierung von Daten und Erpressung. Die Gruppe ist bekannt dafür, enorme Geldbeträge auszugeben, um Anmeldedaten von IABs oder Initial Access Brokers zu kaufen, zusätzlich zu öffentlich zugänglichen Tools. Zur Unterstützung dieses Einsatzes führt die Gruppe auch ein aktives Insider-Rekrutierungsprojekt durch, das sich auf Schlüsselmitarbeiter innerhalb von Zielorganisationen konzentriert. Während die Gruppe ihre Karriere mit dem Fokus auf amerikanische und kanadische Unternehmen begann, erweiterte sie Anfang 2022 ihre Reichweite auf andere geografische Regionen.

Im Gegensatz zu anderen Bedrohungsakteuren ist die Everest-Gruppe proaktiver, wenn es darum geht, potenzielle Insider zu kontaktieren. Die Gruppe ist bekannt dafür, Insider über LinkedIn und 'X' zu rekrutieren. Es ist möglich, dass die Gruppe ein Team hat, das die sozialen Medienaktivitäten von Ziel-Insidern identifiziert und überwacht. Früher veröffentlichte die Gruppe generische Anzeigen, in denen Insider aufgefordert wurden, sich zu melden und Anmeldedaten von Unternehmen in bestimmten Branchen und Sektoren zu verkaufen.  

Verständnis der TTP

Everest ist dafür bekannt, Opfer zu wählen, die große Mengen sensibler Daten verarbeiten. Dies gibt der Gruppe die Möglichkeit, jegliche Ermüdung innerhalb des Systems auszunutzen, sei es auf Systemebene oder auf der Ebene der Sicherheitsanalysten. Sobald die Anmeldedaten erhalten sind, verwendet die Gruppe die kompromittierten Konten zusammen mit einem RDP-Protokoll, um sich innerhalb der kompromittierten Netzwerke fortzubewegen. Zusätzliche Anmeldedaten werden dann mit spezialisierten Tools und Prozessen gesammelt. Der Akteur verwendet auch Netzwerk-Discovery-Tools, um neue Hosts zu erkennen und zu lokalisieren, während er Tools und Rekondateien entfernt, um Anzeichen eines Kompromisses zu löschen.

Alle wertvollen Datenbestände werden kopiert und lokal gespeichert. Die Gruppe verwendet WinRAR, um die Daten dann zu archivieren und zu exfiltrieren.  

Wie der McDonald's Indien Einbruch wahrscheinlich ablief

Basierend auf den TTPs der Everest-Gruppe, wie oben beschrieben, und der Natur der geleakten Dateien können wir einen wahrscheinlichen Angriffsweg rekonstruieren.

Ein kompromittiertes Anmeldekonto eines leitenden Managers, eines Dritten oder einer Person, die viel Zugang innerhalb der Organisation hatte, war wahrscheinlich der Einstiegspunkt. Ein IAB könnte ebenfalls beigetragen haben. Das Vorhandensein von Daten aus Filialen deutet auf eine kompromittierte Quelle hin, die mit granulären Daten arbeitete. Die Daten der Investoren könnten während eines sekundären Einbruchs kompromittiert worden sein, den der Akteur nach der lateralen Bewegung durch kompromittierte Netzwerke ausgeführt haben könnte und durch Verwendung von RDP auf die Daten zugegriffen haben könnte. Das Fehlen virtueller Segmentierung ermöglichte es dem Akteur wahrscheinlich, auf hochrangige Systeme über den anfänglichen Kompromisspunkt hinaus zuzugreifen (Bedrohungsakteure neigen dazu, zu wichtigeren Daten aufzusteigen, anstatt bei der Datenernte herunterzugehen). Aber es ist auch möglich, dass ProcDump verwendet wurde, um den LSASS-Prozess zu scrapen. Dies ermöglichte es dem Angreifer, sich von einem niederwertigen Filial-Computer auf einen hochrangigen Finanz- oder sogar ERP-Server zu bewegen.

Die laterale Bewegung könnte durch die Verwendung von Cobalt Strike Beacons für Befehls- und Kontrolloperationen (C2) unterstützt worden sein und durch kompromittierte legitime Konten über RDP lateral bewegt worden sein. Das Importieren von Tools für laterale Bewegungen oder das Ausführen weiterer Einbrüche innerhalb des Netzwerks ist risikobehaftet und kann zu Detektion führen, und Sicherheitsmaßnahmen könnten sogar die kompromittierten Konten blockieren. Daher verwenden Akteure wie Everest bereits vorhandene Tools innerhalb der Zielumgebung, um den Umfang des Einbruchs zu erweitern, ohne erkannt zu werden. 

Was können wir noch herausfinden?

Das schiere Volumen der exfiltrierten Daten (fast ein Terabyte) deutet darauf hin, dass die Angreifer signifikante Verweildauer hatten. Dies könnte sich über Wochen, vielleicht sogar ein paar Monate erstrecken, um das Netzwerk zu kartieren und Daten zu extrahieren, ohne volumenbasierte Alarme auszulösen. Everest hielt ein niedriges Profil in der Zwischenzeit und führte möglicherweise seine Aktivitäten innerhalb von Aktivitätsfenstern durch, die weniger Aufmerksamkeit von Sicherheitsteams oder den Eigentümern der kompromittierten Konten erregten (möglicherweise zur Mittagszeit oder während Teambesprechungen).

Die gestohlenen Daten wurden in ein WinRAR-Archiv zusammengestellt und dann unter Verwendung von Tools exfiltriert, die für legitimen IT-Support verwendet werden und oft unter dem Radar standardmäßiger EDRs fliegen, aufgrund von Betriebsausnahmen.   

Mögliche Sicherheitsmängel

Der Erfolg dieses Einbruchs hebt drei potenzielle strukturelle Schwächen hervor:

Der Wert dieses Einbruchs für Everest

Dies ist mehr als ein einfacher Erpressungsversuch. Da Everest auch als Initial Access Broker agiert, schafft dieser Einbruch ein "Doppeltes Risiko" für das Opfer:

• Direkte Erpressung: Zahlung, um den Datenleck zu stoppen.

• Zugriffsweiterverkauf: Selbst wenn das Lösegeld bezahlt wird, könnte Everest bereits den "Wie-zu"-Leitfaden für den Einbruch an andere staatlich unterstützte oder kriminelle Akteure verkauft haben.

• Die Daten können weiterhin von der Everest Ransomware Group verkauft werden 

Schlüssellektionen für globale Unternehmen

Dieser Vorfall ist eine deutliche Erinnerung daran, dass Zugriff die neue Währung für den Handel mit Vertrauen ist. Ransomware-Gruppen entwickeln sich zu "Managementberatern für Cyberkriminalität", und interne Informationen sind ihr wertvollstes Produkt. Daten, die einmal verloren gehen, können zu vielen Komplikationen führen, daher ist es besser, Zugang und Barrieren für die Datenbewegung einzuführen, um es den Akteuren schwer zu machen, sich zu bewegen und Daten von Interesse zu finden.

Der Vorfall bietet auch Lektionen für OT-Betreiber. Flache Netzwerke ohne angemessene Überwachung und ordnungsgemäße Risikoanalysen basierend auf IEC 62443 können später zu vielen Sicherheits- und Compliance-Herausforderungen führen. 

Dieser Einbruch ist eine Bestätigung für die Everest Ransomware Group und eine Validierung ihrer Einbruchsmethoden und Modelle. Ein selbstbewusster Bedrohungsakteur könnte leicht kühner werden und sein Zielgebiet erweitern, wie wir in der Vergangenheit gesehen haben. Everest hat seinen Fokus von den USA auf die USA erweitert, nachdem er eine Liste sehr bedeutender Opfer kompromittiert hat.

Unternehmen müssen über einfache Perimeterverteidigung hinausgehen. Die Implementierung von Zero Trust Access (ZTA), bei dem jede laterale Bewegung eine erneute Authentifizierung (erneutes Vertrauensverdienen) erfordert, kann nicht länger als optional angesehen werden. 

Benötigen Sie Hilfe bei Ihren Anforderungen an die regulatorische Compliance? Sprechen Sie mit unserem Experten.

Mehr über unsere NIS2-Compliance-Dienstleistungen.

Erfahren Sie mehr über Shieldworkz' Incident-Response-Dienstleistungen

Testen Sie unsere OT-Sicherheitsplattform hier.